Menangani positif palsu di Microsoft Sentinel

Penting

Deteksi kustom sekarang menjadi cara terbaik untuk membuat aturan baru di seluruh Microsoft Sentinel SIEM Microsoft Defender XDR. Dengan deteksi kustom, Anda dapat mengurangi biaya penyerapan, mendapatkan deteksi real-time tanpa batas, dan mendapat manfaat dari integrasi yang mulus dengan data, fungsi, dan tindakan remediasi Defender XDR dengan pemetaan entitas otomatis. Untuk informasi selengkapnya, baca Deteksi kustom sekarang menjadi pengalaman terpadu untuk membuat deteksi di Microsoft Defender XDR.

Aturan analitik Microsoft Sentinel memberi tahu Anda ketika sesuatu yang mencurigakan terjadi di jaringan Anda. Tidak ada aturan analitik yang sempurna, dan Anda pasti akan mendapatkan beberapa positif palsu yang perlu penanganan. Artikel ini menjelaskan cara menangani positif palsu, baik dengan menggunakan otomatisasi atau dengan memodifikasi aturan analitik terjadwal.

Penyebab dan pencegahan positif semu

Bahkan dalam aturan analitik yang dibangun dengan benar, positif palsu sering berasal dari entitas tertentu seperti pengguna atau alamat IP yang harus dikecualikan dari aturan.

Skenario umum meliputi:

Aktivitas normal oleh pengguna tertentu, biasanya service principal (identitas otomatis yang digunakan oleh aplikasi dan layanan), menunjukkan pola yang tampak mencurigakan.
Aktivitas pemindaian keamanan yang disengaja berasal dari alamat IP yang diketahui terdeteksi berbahaya.
Aturan yang mengecualikan alamat IP privat juga harus mengecualikan beberapa alamat IP internal yang tidak bersifat privat.

Artikel ini menjelaskan dua metode untuk menghindari positif palsu:

Aturan otomatisasi membuat pengecualian tanpa memodifikasi aturan analitik.
Modifikasi aturan analitik terjadwal mengizinkan pengecualian yang lebih rinci dan permanen.

Tabel berikut ini menjelaskan karakteristik dari setiap metode:

Metode	Karakteristik
Aturan otomatisasi	Dapat diterapkan ke beberapa aturan analitik. Pertahankan jejak audit. Pengecualian akan langsung dan otomatis menutup insiden yang dibuat, serta mencatat alasan penutupan dan komentar. Sering dihasilkan oleh analis. Memperbolehkan penerapan pengecualian untuk waktu yang terbatas. Misalnya, pekerjaan pemeliharaan dapat memicu alarm palsu yang, jika terjadi di luar periode pemeliharaan, akan dianggap sebagai insiden nyata.
Modifikasi aturan analitik	Memperbolehkan ekspresi boolean tingkat lanjut dan pengecualian berbasis subnet. Memungkinkan Anda menggunakan daftar pengawasan untuk memusatkan manajemen pengecualian. Biasanya memerlukan implementasi dari teknisi Security Operations Center (SOC). Merupakan solusi positif palsu yang paling fleksibel dan lengkap, tetapi lebih kompleks.

Metode

Karakteristik

Aturan otomatisasi

Dapat diterapkan ke beberapa aturan analitik.
Pertahankan jejak audit. Pengecualian akan langsung dan otomatis menutup insiden yang dibuat, serta mencatat alasan penutupan dan komentar.
Sering dihasilkan oleh analis.
Memperbolehkan penerapan pengecualian untuk waktu yang terbatas. Misalnya, pekerjaan pemeliharaan dapat memicu alarm palsu yang, jika terjadi di luar periode pemeliharaan, akan dianggap sebagai insiden nyata.

Modifikasi aturan analitik

Memperbolehkan ekspresi boolean tingkat lanjut dan pengecualian berbasis subnet.
Memungkinkan Anda menggunakan daftar pengawasan untuk memusatkan manajemen pengecualian.
Biasanya memerlukan implementasi dari teknisi Security Operations Center (SOC).
Merupakan solusi positif palsu yang paling fleksibel dan lengkap, tetapi lebih kompleks.

Menambahkan pengecualian dengan aturan otomatisasi (hanya portal Azure)

Prosedur berikut menjelaskan cara menambahkan aturan otomatisasi ketika Anda melihat insiden positif palsu. Prosedur ini hanya didukung dalam portal Azure.

Jika Microsoft Sentinel di-onboarding ke portal Defender, buat aturan otomatisasi dari awal berdasarkan detail insiden Anda. Untuk informasi selengkapnya, lihat Mengotomatiskan respons ancaman di Microsoft Azure Sentinel dengan aturan otomatisasi.

Untuk menambahkan aturan otomatisasi guna menangani positif palsu:

Dalam Microsoft Sentinel, di bawah Incidents, pilih insiden yang ingin Anda buat pengecualiannya.
Di panel detail insiden di sisi, pilih Tindakan > Buat aturan otomatisasi.
Dalam Membuat aturan automasi pada bilah samping, secara opsional ubahlah nama aturan baru untuk mengidentifikasi pengecualian, alih-alih hanya mengubah nama aturan peringatan saja.
Di bawah Kondisi, secara opsional tambahkan lebih banyak nama aturan Analitik untuk menerapkan pengecualian. Pilih kotak drop-down yang berisi nama aturan analitik dan pilih aturan analitik lainnya dari daftar.
Panel samping menampilkan entitas tertentu di insiden saat ini yang mungkin menyebabkan hasil positif palsu. Pertahankan saran otomatis, atau ubah kondisi yang disarankan untuk menyempurnakan pengecualian. Misalnya, Anda dapat mengubah kondisi pada alamat IP untuk diterapkan ke seluruh subnet.
Setelah Anda puas dengan kondisi yang ditetapkan, gulir ke bawah di panel samping untuk melanjutkan dan menentukan apa yang dilakukan oleh aturan:
- Aturan sudah dikonfigurasi untuk menutup insiden yang memenuhi kriteria pengecualian.
- Anda dapat menyimpan alasan penutupan yang ditentukan apa adanya, atau Anda dapat mengubahnya jika alasan lain lebih tepat.
- Anda dapat menambahkan komentar pada insiden yang ditutup secara otomatis yang menjelaskan pengecualian. Misalnya, Anda dapat menentukan bahwa insiden tersebut berasal dari aktivitas administratif yang diketahui.
- Secara default, aturan diatur untuk kedaluwarsa secara otomatis setelah 24 jam. Masa kedaluwarsa ini mungkin sesuai dengan yang Anda inginkan dan dapat mengurangi kemungkinan terjadinya kesalahan negatif palsu. Jika Anda menginginkan pengecualian yang lebih panjang, atur Kedaluwarsa aturan ke lain kali.
Anda dapat menambahkan lebih banyak tindakan jika Anda mau. Misalnya, Anda dapat menambahkan tag pada insiden, atau Anda dapat menjalankan playbook untuk mengirim email atau pemberitahuan atau bisa juga untuk disinkronkan dengan sistem eksternal.
Pilih Terapkan untuk mengaktifkan pengecualian.

Tambahkan pengecualian dengan memodifikasi kueri aturan analitik

Anda juga dapat menerapkan pengecualian dengan memodifikasi kueri aturan analitik. Anda dapat menyertakan pengecualian langsung dalam aturan, atau sebaiknya, jika memungkinkan, gunakan referensi ke daftar pengawasan. Anda kemudian dapat mengelola daftar pengecualian di daftar pengawasan.

Mengubah kueri

Untuk instruksi yang terperinci mengenai penggunaan Wizard Aturan Analitik untuk membuat dan mengedit aturan analitik, lihat Membuat aturan analitik kustom untuk mendeteksi ancaman.

Untuk mengedit aturan analitik yang ada, pilih Automation dari menu navigasi kiri Microsoft Sentinel. Pilih aturan yang ingin Anda edit, lalu pilih Edit di kanan bawah untuk membuka Wizard Aturan Analitik.

Untuk menerapkan pengecualian dalam pembukaan aturan biasa, Anda bisa menambahkan kondisi seperti where IPAddress !in ('<ip addresses>') di dekat awal kueri aturan. Baris ini mengecualikan alamat IP tertentu dari aturan.

let timeFrame = 1d;
SigninLogs
| where TimeGenerated >= ago(timeFrame)
| where IPAddress !in ('10.0.0.8', '192.168.12.1')
...

Jenis pengecualian ini tidak terbatas pada alamat IP. Anda dapat mengecualikan pengguna tertentu dengan menggunakan bidang UserPrincipalName, atau mengecualikan aplikasi tertentu dengan menggunakan AppDisplayName.

Anda juga dapat mengecualikan beberapa atribut. Misalnya, untuk mengecualikan pemberitahuan dari alamat IP 10.0.0.8 atau pengguna user@microsoft.com, gunakan:

| where IPAddress !in ('10.0.0.8')
| where UserPrincipalName != 'user@microsoft.com'

Untuk menerapkan pengecualian yang lebih terperinci jika diperlukan, dan mengurangi kemungkinan hasil negatif palsu, Anda dapat menggabungkan atribut. Pengecualian berikut ini hanya berlaku jika kedua nilai muncul di pemberitahuan yang sama:

| where IPAddress != '10.0.0.8' and UserPrincipalName != 'user@microsoft.com'

Kecualikan subnet

Mengecualikan rentang IP yang digunakan organisasi memerlukan pengecualian subnet. Contoh berikut menunjukkan cara mengecualikan subnet.

Operator ipv4_lookup adalah operator pengayaan, bukan operator pemfilteran. Baris where isempty(network) sebenarnya melakukan pemfilteran dengan hanya mempertahankan kejadian yang alamat IP-nya tidak cocok dengan entri subnet mana pun.

let subnets = datatable(network:string) [ "111.68.128.0/17", "5.8.0.0/19", ...];
let timeFrame = 1d;
SigninLogs
| where TimeGenerated >= ago(timeFrame)
| evaluate ipv4_lookup(subnets, IPAddress, network, return_unmatched = true)
| where isempty(network)
...

Menggunakan daftar pengawasan untuk mengelola pengecualian

Anda dapat menggunakan daftar pengawasan untuk mengelola daftar pengecualian di luar aturan itu sendiri. Jika berlaku, solusi ini memiliki keuntungan sebagai berikut:

Analis dapat menambahkan pengecualian tanpa mengedit aturan, yang lebih baik mengikuti praktik terbaik SOC.
Daftar pengawasan yang sama dapat berlaku untuk beberapa aturan, memungkinkan manajemen pengecualian pusat.

Menggunakan daftar pengawasan mirip dengan menggunakan pengecualian langsung. Gunakan _GetWatchlist('<watchlist name>') untuk memanggil daftar pengawasan:

let timeFrame = 1d;
let logonDiff = 10m;
let allowlist = (_GetWatchlist('ipallowlist') | project IPAddress);
SigninLogs
| where TimeGenerated >= ago(timeFrame)
| where IPAddress !in (allowlist)
...

Anda juga dapat memfilter subnet menggunakan daftar pantauan. Misalnya, dalam kode pengecualian subnet sebelumnya, Anda dapat mengganti definisi datatable subnet dengan daftar pengawasan:

let subnets = _GetWatchlist('subnetallowlist');

Untuk informasi lebih lanjut tentang operator dan fungsi Kusto yang digunakan dalam contoh kueri pengecualian, lihat dokumentasi Kusto:

Untuk informasi selengkapnya tentang KQL, lihat gambaran umum Bahasa Kueri Kusto (KQL).

Sumber daya lainnya:

Contoh: Mengelola pengecualian untuk solusi Microsoft Azure Sentinel untuk aplikasi SAP®

Solusi Microsoft Azure Sentinel untuk aplikasi SAP® menyediakan fungsi yang dapat Anda gunakan untuk mengecualikan pengguna atau sistem agar tidak memicu pemberitahuan.

Mengecualikan pengguna. Gunakan fungsi SAPUsersGetVIP untuk:
- Tag panggilan untuk pengguna yang ingin Anda kecualikan dari memicu pemberitahuan. Tandai pengguna dalam daftar pantauan SAP_User_Config, menggunakan tanda bintang (*) sebagai karakter joker untuk menandai semua pengguna dengan sintaks penamaan tertentu.
- Cantumkan peran dan/atau profil SAP tertentu yang ingin Anda kecualikan dari pemberitahuan pemicu.
Mengecualikan sistem. Gunakan fungsi yang mendukung parameter SelectedSystemRoles untuk menentukan bahwa hanya jenis sistem tertentu yang memicu peringatan, termasuk hanya sistem Production, hanya sistem UAT, atau keduanya.

Untuk informasi selengkapnya, lihat Solusi Microsoft Azure Sentinel untuk referensi data aplikasi SAP®.

Untuk informasi selengkapnya, lihat:

Saran dan Komentar

Apakah halaman ini membantu?

Last updated on 2026-08-14